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(57) Abstract: The invention relates to a method for programming a safety controller, comprising the following steps: determination 
of logical connections between input signals on the safety controller and allocation of logical products (M4, M5) to output signals 
from the safety controller. The determination of the connections and the allocation is thus achieved by pre-defined function-specific 
program modules (62-72, 76-80), selected from a number (60) of such program modules. The invention is characterised in that 
each selected program module (76, 78, 70) is uniquely allocated to a defined function group (54, 56, 58). A first function group 
(54) comprises program modules (76) which accept input signals to the safety controller and produce first intermediate parameters 
(Ml, M2, M3), based thereon. A second function group (56) comprises program modules (78) which logically connect the first 
intermediate parameters (Ml, M2, M3) to each other and produce second intermediate parameters (M4, M5) based thereon. A third 
function group (58) comprises program modules (80), which aJlocate the second intermediate parameters (M4, M5) to the output 
signals of the safety controller. The invention further relates to a corresponding device and corresponding computer prog rams. 
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(57) Zusammenfassung: Die vorliegende Erfindung betrifft ein Verfahren zum Programmieren einer Sicherheilssteuerung, mit den 
Schritten: Festlegen von logischen Verkniipfungen zwischen Eingangssignalen der Sicherheitssteuerung und Zuordnen von Ver- 
kniipfungsprodukten (M4, M5) zu Ausgangssignalen der Sicherheitssteuerung. Dabei erfolgt das Festlegen der Verkniipfungen 

[Fortsetzung auf der nachsten Seite ] 
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und das Zuordnen anhand vordefinierten funktionsspezifischer Programmodule (62-72, 76-80), die aus einerMenge (60) derartiger 
Programmoduie ausgewahlt werden. Die Erfindung ist dadurch gekennzeichnet, daSjedes ausgewahlte Programmodul (76, 78, 70) 
eindeutig einer definierten Funktionsgruppe (54, 56, 58) zugeordnet wird, wobei eine erste Funktionsgruppe (54) Programmodule 
(76) enthalt, die Eingangssignale der Sicherheitssteuerung aufnehmen und in Abhangigkeit davon ersten ZwischengroBen (Ml, M2, 
M3) bereitstellen, wobei eine zweite Funktionsgruppe (56) Programmodule (78) enthalt, die die ersten ZwischengroBen (Ml, M2, 
M3) logisch miteinander verknupfen und in Abhangigkeit davon zweite ZwischengroBen (M4, M5) bereitstellen, und wobei eine 
dritte Funktionsgruppe (58) Programmodule (80) enthalt, die die zweiten ZwischengroBen (M4, M5) den Ausgangssignalen der 
Sicherheitssteuerung zuordnen. Die Erfindung betrifft femer eine entsprechenden Vorrichtung sowie entsprechende Computerpro- 
gramme. 
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Verf ahren und Vorrichtung zum Proaraimnieren 
einer Sicherheitssteuerung 

Die vorliegende Erf indung betrif ft ein Verf ahren zum Program- 
mieren einer Sicherheitssteuerung, mit den Schritten: 

Festlegen von logischen Verkniipf ungen zwischen Eingangs- 
signalen der Sicherheitssteuerung und 

Zuordnen von Verkniipf ungsprodukten zu Ausgangssignalen der 
Sicherheitssteuerung/ 

wobei das Festlegen der Verkniipf ungen und das Zuordnen anhand 
vordef inierter f unktionsspezif ischer Programmodule erfolgt f die 
aus einer Menge derartiger Programmodule ausgewahlt werden. 

Die — Erfindu n g betr i££t — des w e iteren — cine Vorrichtung — zum Pro — 
grammieren einer Sicherheitssteuerung, mit ersten Mitteln zum 
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Auswahlen und Parametrieren vordef inierter funktionsspezif i- 
scher Programmodule, mit deren Hilfe logische Verkniipf ungen 
zwischen Eingangssignalen der Sicherheitssteuerung festgelegt 
und Verknupfungsprodukte zu Ausgangssignalen der Sicherheits- 
steuerung zugeordnet werden konnen* 

Ein Verfahren und eine Vorrichtung der genannten Art sind aus 
der WO 98/44399 bekannt. 

Eine Sicherheitssteuerung im Sinne der vorliegenden Erfindung 
ist ein Gerat oder eine Vorrichtung, das bzw. die von Sensor en 
gelieferte Eingangssignale aufniirant und daraus durch logische 
Verknupfungen und unter Umstanden weitere Signal- oder Daten- 
verarbeitungsschritte Ausgangssignale erzeugt. Die Ausgangs- 
signale konnen dann Aktuatoren zugefuhrt werden, die dann in 
Abhangigkeit von den Eingangssignalen gezielte Aktionen oder 
Reaktionen in der Umgebung bewirken. Ein. bevorzugtes Anwen- 
dungsgebiet fur derartige Sicherheitssteuerungen ist im Bereich 
der Maschinensicherheit die Uberwachung von Not-Aus-Tastern, 
Zwei-Hand-Steuerungen, Schutztiiren oder Lichtgittern, Derartige 
Sensoren werden verwendet, urn beispielsweise eine Maschine, von 
der im Betrieb eine Gefahr fiir Menschen oder materielle Guter 
ausgeht, abzusichern. Beim Offnen der Schutztiir oder beim Beta- 
tigen des Not-Aus-Tasters wird jeweils ein Signal erzeugt, das 
der Sicherheitssteuerung als Eingangssignal zugefiihrt iist. In 
Reaktion darauf schaltet die Sicherheitssteuerung dann bei- 
spielsweise mit Hilfe eines Aktuators den gef ahrbringenden Teil 
der Maschine ab. 

Charakteristisch an einer Sicherheitssteuerung ist im Gegensatz 
zu einer "normalen" Steuerung, daJ3 die Sicherheitssteuerung 
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selbst dann, wenn bei ihr oder einern mit ihr verbundenen Gerat 
eine Fehlfunktion auftritt, stets einen sicheren Zustand der 
gef ahrbringenden Anlage oder Maschine gewahrleisten muJ3 . Daher 
werden bei Sicherheitssteuerungen extrem hohe Anf orderungen an 
die eigene Fehlersicherheit gestellt, was einen erheblichen 
Aufwand bei der Entwicklung und Herstellung zur Folge hat. In 
der Regel benotigen Sicherheitssteuerungen • vor ihrer Verwendung 
eine besondere Zulassung durch zustandige Auf sichtsbehorden, 
wie beispielsweise in Deutschland durch die Beruf sgenossen- 
schaften oder den TUV. Die Sicherheitssteuerung muB dabei vor- 
gegebene Sicherheitsstandards einhalten, die beispielsweise in 
der europaischen Norm EN 954-1 niedergelegt sind«/ Im folgenden 
wird daher unter einer Sicherheitssteuerung ein Gerat bzw. eine 
Vorrichtung verstanden, die zumindest die Sicherheitskategorie 
3 der genannten europaischen Norm erfiillt. 

Eine programmierbare Sicherheitssteuerung bietet dem Anwender 
die Moglichkeit, die logischen Verkntipf ungen und gegebenenf alls 
weiteren Signal- oder Datenverarbeitungsschritte mit Hilfe 
einer Software, dem sogenannten Anwenderprogramm, seinen Be- 
diirfnissen entsprechend individuell festzulegen. Daraus resul- 
tiert eine groBe Flexibilitat im Vergleich zu friiheren Losun- 
gen, bei denen die logischen Verknupf ungen durch eine definier- 
te Verdrahtung zwischen verschiedenen Sicherheitsbausteinen er- 
zeugt wurden. Ein Problem bei der Programmierung einer Sicher- 
heitssteuerung besteht jedoch darin, daB das zu erstellende An- 
wenderprogramm selbst ein sicherheitskritisches Element ist, da 
ein Fehler in dem Anwenderprogramm eine unkontrollierte Situa- 
tion und damit einen gefahrlichen Zustand bei der liberwachten 

Masrhinp nripr Rnlagp hervnrmfpn karm . Hinzn kommt , daB das An- 

wenderprogramm bei der Uberwachung einer groBen Maschinenanlage 
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mit vielen Sicherheitseinrichtungen sehr komplex und uniiber- 
sichtlich werden kann, was die Gewahrleistung der erf order li- 
chen Fehlersicherheit erheblich erschwert. Dabei konnen folgen- 
schwere Fehler in dem Anwenderprogramm nicht nur durch mensch- 
liches Versagen bei der Programmierung , sondern auch durch 
nicht-f ehlersichere Programmierhilf smittel verursacht werden. 
Wenn beispielsweise das Anwenderprogramm fiir die Sicherheits- 
steuerung mit Hilfe eines nicht-f ehlersicheren, handelsiiblichen 
Personal Computers (PC) erstellt wird, konnten Speicherf ehler 
des PC unbemerkt zu einer folgenschweren Verf alschung des An- 
wenderprogramms fiihren. 

In der eingangs genannten WO 98/44399 ist ein Verfahren be- 
schrieben, wie mit einem handelsiiblichen PC ein sicherheits- 
gerichtetes Steuerungssystem f d.h. eine Sicherheitssteuerung, 
programmiert werden kann. Dazu sind in der Sicherheitssteuerung 
funktionsspezif ische Programmodule in Form von sogenannten 
Software-Makros abgelegt. Zur Erstellung des Anwenderprogramms 
erzeugt der Anwender mit Hilfe des PCs Programmodul-Funktions- 
aufrufe, die anschlieflend an die Sicherheitssteuerung ubertra- 
gen werden. Mit Hilfe der Prograromodul-Funktionsauf ruf e werden 
die benotigten Programmodule in der Sicherheitssteuerung aufge- 
ruf en und zu dem eigentlichen Anwenderprogramm zusammenge- 
stellt. Das Programmiergerat, d.h. der PC, dient lediglich da- 
zu, die benotigten Programmodule auszuwahlen und zusammenzu- 
stellen. Die Programmodule selbst konnen so nicht verandert 
werden r und somit kann der PC auch keinen EinfluB darauf aus- 
uben . 

Das bekannte Verfahren vereinfacht die Programmierung einer Si- 
cherheitssteuerung. Zudem wird eine gewisse Sicherheit zusatz- 
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lich dadurch erreicht, dafl die an die Sicherheitssteuerung 
iibertragenen Programmodul-Funktionsauf ruf e in das Programmier- 
gerat zuriickgelesen werden und dort vom Anwender riickbestatigt 
werden miissen. Das bekannte Verfahren ist jedoch im Hinblick 
auf die Fehlersicherheit beim Erstellen eines Anwenderprogramms 
noch nicht optimal. 

Es ist daher eine Aufgabe der vorliegenden Erfindung, ein Ver- 
fahren und eine Vorrichtung der eingangs genannten Art weiter- 
zubilden, um eine noch hohere Fehlersicherheit beim Programmie- 
ren der Sicherheitssteuerung zu erreichen. 

Diese Aufgabe wird bei dem eingangs genannten Verfahren dadurch 
gelost, daB jedes ausgewahlte Programmodul eindeutig einer de- 
finierten Funktionsgruppe zugeordnet wird, wobei eine erste 
Funktionsgruppe Programmodule enthalt, die Eingangssignale der 
Sicherheitssteuerung aufnehmen und in Abhangigkeit davon erste 
Zwischengroflen bereitstellen, wobei eine zweite Funktionsgruppe 
Programmodule enthalt, die die ersten ZwischengroBen logisch 
miteinander verkntipfen und in Abhangigkeit davon zweite Zwi- 
schengroJ3en bereitstellen, und wobei eine dritte Funktions- 
gruppe Programmodule enthalt, die die zweiten Zwischengrofien 
den Ausgangssignalen der Sicherheitssteuerung zuordnen. 

Die Aufgabe wird bei einer Vorrichtung der eingangs genannten 
Art dadurch gelost, dafi weitere Mittel vorhanden sind, die ein 
ausgewahltes Programmodul eindeutig einer entsprechend defi- 
nierten Funktionsgruppe zuordnen. 

-TJie^lT iernach z wingende Zuordnung eines ausgewahlten Programmo- 
duls zu einer der definierten Funktionsgruppen bewirkt eine 
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sehr ubersichtliche und strukturierte Programmierung der Si- 
cherheitssteuerung. Dies hat zur Folge, daJ3 Fehlermoglichkeiten 
beim Prograinmieren reduziert werden. Bei einer unstrukturierten 
Programmierung ist es beispielsweise moglich, daJ3 unerkannte 
Ruckwirkungen zwischen verschiedenen Teilen des erzeugten An- 
wenderprogramms gebildet werden. Solche Ruckwirkungen konnen zu 
Lauf zeitproblemen Oder sogar zu "Schwingungen" fuhren, die ei- 
nen instabilen und gefahrlichen Zustand zur Folge haben. Diese 
Fehlerquellen werden durch die hier vorgeschlagene, erzwungene 
Strukturierung beim Prograinmieren erheblich reduziert, wenn 
nicht gar vollstandig vermieden. Des weiteren vereinfacht sich 
aufgrund der ubersichtlichen und einheitlichen Struktur auch 
eine Plausibilitatspriif ung des erstellten Anwenderprogramms . 
Bspw. ist nunmehr leichter und damit auch zuverlassiger zu 
uberprufen, ob ein Programmodul aus der ersten Funktionsgruppe 
nur liber eine eindeutige ZwischengroBe einem Logikmodul aus der 
zweiten Funktionsgruppe zugewiesen ist. 

Daruber hinaus laBt sich ein erf indungsgemaB strukturiertes 
Programm leichter warten, d.h. nachtraglich verandern oder er- 
weitern, wodurch Fehlerquellen auch bei derartigen Tatigkeiten 
reduziert sind. Ferner fiihrt die vorgegebene Struktur auch beim 
Prograinmieren selbst zu' einer groBeren Ubersichtlichkeit , wo- 
durch die Gefahr menschlicher Fehler, wie beispielsweise das 
Vergessen einzelner erforderlicher Verkniipf ungen, ebenfalls re- 
duziert wird. 

Das Prograinmieren wird durch die Auf gliederung in die definier- 
ten Funktionsgruppen insgesamt ubersichtlicher und damit sogar 
auch komf ortabler . Gleichzeitig kann ein groBer Vorteil des be- 
kannten Verfahrens, daB namlich der Programmierer beim Erstel- 
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len des Anwenderprogramms nur noch auf vorgef ertigte Programmo- 
dule zurtickgreift , in vollem Umfang beibehalten werden. Das An- 
wenderprogramm wird dabei ausschliefllich aus iiberpruf "ten , feh- 
lersicheren Programmodulen zusammengestellt , was Fehlerquellen 
ebenf alls reduziert . 

In einer bevorzugten Ausgestaltung der Erfindung wird jedes 
Programmodul genau einer von insgesamt drei definierten Funkti- 
onsgruppen zugeordnet . 

In dieser Ausgestaltung ist die Struktur beim Programmieren in 
exakt drei Ebenen aufgeteilt. Dies entspricht der natiir Lichen 
Grundstruktur der zu erstellenden Anwenderprogramme , bei denen 
zunachst Eingangssignale auf genommen werden (erste Ebene) , an- 
schlieBend die auf genommenen Signale verarbeitet werden (zweite 
Ebene) und schlieBlich die Verarbeitungsergebnisse nach auJ3en 
abgegeben werden, urn Aktionen auszulosen (dritte Ebene). In 
dieser Ausgestaltung ist die Programmierstruktur daher optimal 
an die Gegebenheiten angepaBt und daher besonders einfach und 
ubersichtlicti. Die Gefahr von Fehlern beim Programmieren ist 
daher noch weiter reduziert. 

In einer weiteren Ausgestaltung der Erfindung wertet jedes Pro- 
grammodul der ersten Funktionsgruppe eine definierte Signal- 
quelle fehlersicher aus. 

Definierte Signalquellen in diesem Sinne sind beispielsweise 
Not-Aus-Taster , Schutztiiren und jegliche anderen Sensoren, die 
sicherheitsrelevante Signale liefern. Die Programmodule der er- 
sten Funktionsgruppe werten aiese Sensoren eigenstandig aus und" 
liefern daher als erste ZwischengroBe eine f ehlersichere Infor- 
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mation daruber, in welchem Zustand sich der entsprechende Sen- 
sor befindet. Die MaBnahme besitzt den Vorteil, daB die erste 
ZwischengroBe eine "physikalische" Bedeutung besitzt, die fiir 
den Programmierer des Anwenderprogramms sehr gut nachvollzieh- 
bar ist. Daher wird die Struktur beim Programmieren besonders 
anschaulich, wodurch Fehlerquellen weiter verringert sind. 

In einer weiteren Ausgestaltung der Erf indung wird beim Auswah- 
len eines jeden Programmoduls ein Programmodul-Funktionsauf ruf 
generiert und in einer Ablauftabelle abgespeichert . 

Diese Ausgestaltung der Erf indung ermoglicht es, vorbereitete 
und zertif izierte Programmodule stationar in der Sicherheits- 
steuerung abzulegen. Das vom Programmierer mit Hilfe seines 
Programraiergerates erste lite Anwenderprogramm kann sich dann 
auf eine Aneinanderreihung von Programmodul-Funktionsauf ruf en 
beschranken. Ein solches Anwenderprogramm benotigt vergleichs- 
weise wenig Speicherplatz und kann somit einfach und schnell an 
die Sicherheitssteuerung iibertragen werden. Es kann auch leich- 
ter uberpriift werden. Zudem sind die Programmodule als wesent- 
liche sicherheitskritische Elemente dem Zugriff des Programmie- 
rers entzogen. Insgesamt wird hierdurch sowohl der Komfort als 
auch die Fehlersicherheit beim Programmieren weiter verbessert. 

In einer weiteren Ausgestaltung der zuvor genannten MaBnahme 
werden die Programmodul-Funktionsaufruf e nach den Funktions- 
gruppen getrennt in der Ablauftabelle gespeichert. 

Diese MaBnahme besitzt den Vorteil, daB sich die erfindungs- 
gemaBe Struktur nicht nur beim Programmieren selbst, sondern 
auch in dem dabei erzeugten Anwenderprogramm niederschlagt • In- 
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folge dessen beinhaltet das erzeugte Anwenderprogramm selbst 
weniger Fehlerquellen, wodurch die Fehlersicherheit welter ver- 
besser-t ist. 

In einer weiteren Ausgestaltung der zuvor genannten MaJBnahme 
werden die Programmodul-Funktionsauf ruf e in der Reihenfolge der 
Funktionsgruppen abgespeichert . 

In dieser Ausgestaltung werden somit zunachst samtliche Pro- 
grammodul-Funktionsauf ruf e der ersten Funktionsgruppe, an- 
schliei3end die der zweiten und zuletzt die der dritten Funkti- 
onsgruppe abgespeichert. Die MaBnahme besitzt den Vorteil, daJ3 
die Reihenfolge der Programmodul-Funktionsauf ruf e bereits bei 
der Erstellung des Anwenderprogramms einen optimalen zeitlichen 
Ablauf implementiert f der die Fehlersicherheit weiter erhoht. 

In einer weiteren Ausgestaltung der Erfindung werden die Pro- 
grammodule mitt els graphischer Symbole auf einer graphischen 
Benutzeroberf lache dargestellt. 

Aufgrund dieser MaJinahme ist es moglich, den eigentlichen Vor- 
gang des Programmierens besonders anschaulich und iibersichtlich 
zu gestalten, wodurch Fehlerquellen aufgrund menschlichen Ver- 
sagens Oder Fliichtigkeit erheblich reduziert werden. Die Feh- 
lersicherheit wird nochmals erheblich gesteigert. 

In einer weiteren Ausgestaltung der zuvor genannten MaBnahme 
werden die Programmodule mittels einer Drag & Drop-Funktion 
ausgewahlt . 
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Eine Drag & Drop-Funktion ist an sich bereits von graphischen 
Benutzeroberf lachen handelsiiblicher PCs bekannt. Hierbei wird 
ein Element mit einem Eingabegerat , beispielsweise mit Hilfe 
einer sogenannten Maus f markiert und sodann mit Hilfe des Ein- 
gabegerates an eine gewunschte Stelle verschoben oder kopiert. 
Eine solche Art der Auswahl ist fur den Programmierer sehr ein- 
fach und komfortabel. Inf olgedessen sind Fehlbedienungen und 
sich daraus ergebende Fehlerguellen beim Programmieren weiter 
erheblich reduziert. 

In einer weiteren Ausgestaltung der Erfindung werden auch die 
Funktionsgruppen mittels graphischer Symbole auf einer graphi- 
schen Benutzeroberf lache dargestellt. 

Auch mit dieser MaBnahme wird die Anschaulichkeit und Uber- 
sichtlichkeit beim Programmieren erheblich verbessert f da dem 
Programmierer die erf indungsgemaBe Struktur unmittelbar visua- 
lisiert wird. Die Gefahr von Fehlern ist aufgrund der damit un- 
mittelbar moglichen optischen Kontrolle weiter reduziert. 

In einer weiteren Ausgestaltung des erf indungsgemaBen Verfah- 
rens wird die Darstellung eines ausgewahlten Programmoduls auf 
der Benutzeroberf lache aus einem abgespeicherten, zugehorigen 
Programmodul-Funktionsauf ruf generiert . Die entsprechende er- 
findungsgemaJ3e Vorrichtung weist daher einen Speicher zum Ab- 
speichern eines Programmodul-Funktionsauf 3rufs in Abhangigkeit 
von einem ausgewahlten Programmodul sowie eine Anzeigeeinheit 
auf f die in Abhangigkeit von dem abgespeicherten Programmodul- 
Funktionsauf ruf eine Darstellung des ausgewahlten Programmoduls 
generiert . 



3NSDOCID: <WO 02067065A2_I_> 



WO 02/067065 PCT/EP02/01205 



11 



In dieser Ausgestaltung der Erfindung wird ein ausgewahltes 
Programmodul auf der Benutzeroberf lache erst nach einem Umweg 
visualisiert. Zunachst wird der zugehorige Programmodul - 
Funktionsauf ruf abgespeichert , und zwar in dem Format, in dem 
er spater der Sicherheitssteuerung zugefiihrt wird. Erst an- 
schlieJ3end wird die Darstellung des ausgewahlten Programmoduls 
aus dem abgespeicherten Programmodul-Funktionsauf ruf generiert. 
Der Programmierer erhalt daher stets eine Visualisierung der 
tatsachlich abgespeicherten Programmodul-Funktionsauf ruf e und 
kann somit unmittelbar erkennen, ob die Abspeicherung mit sei- 
ner Vorgabe ubereinstimmt . Die Kontrolle der abgespeicherten 
Programmodul-Funktionsauf rufe erfolgt hier somit direkt bei der 
Auswahl, wodurch Fehler beim Programmieren nochmals erheblich 
reduziert sind. Zudem konnen weitere Kontrollen der abgespei- 
cherten Programmodul-Funktionsauf rufe entf alien, wodurch die 
Programmierung bei einer hohen Fehlersicherheit insgesamt sehr 
einfach und komfortabel moglich ist. 

Daruber hinaus besitzt die Maflnahme den Vorteil, daB der Pro- 
grammierer das erstellte Anwenderprogramm sehr einfach gra- 
phisch dokumentieren kann. Daher ist die spatere Pflege des An- 
wenderprogramms sehr einfacher und fehlersicher moglich. 

Es versteht sich, daB die vorstehend genannten und die nach- 
stehend noch zu erlauternden Merkmale nicht nur in der jeweils 
angegebenen Kombination, sondern auch in anderen Kombinationen 
Oder in Alleinstellung verwendbar sind r ohne den Rahmen der 
vorliegenden Erfindung zu verlassen. 



BNSDOCID: <WO 02067 06 5A2_I_> 



WO 02/067065 



PCT/EP02/01205 



12 

Ausfiihrungsbeispiele der Erfindung sind in der Zeichnung 
dargestellt und werden in der nachf olgenden Beschreibung naher 
erlautert. Es zeigen: 

Fig, 1 eine schematische Darstellung einer erf induhgsgema- 
Ben Vorrichtung in Verbindung mit einer zu program- 
mierenden Sicherheitssteuerung und 

Fig. 2 eine vereinfachte Darstellung einer graphischen Be- 
nutzeroberf lache zum Programmieren einer Sicher- 
heitssteuerung . 

In Fig* 1 ist eine erf indungsgemaBe Vorrichtung in ihrer Ge- 
samtheit mit der Bezugsziffer 10 bezeichnet. 

Die Vorrichtung 10 beinhaltet einen herkommlichen PC 12 mit 
einem Monitor 14, auf dem ein Computerprogramm 16 ausgefiihrt 
wird. Das Computerprogramm 16 ermoglicht die Erstellung eines 
Anwenderprogramms fur eine Sicherheitssteuerung. Es wird in der 
Fachterminologie daher haufig auch als Programmiertool bezeich- 
net. 

Die zu programmierende Sicherheitssteuerung ist in Fig. 1 mit 
der Bezugsziffer 18 bezeichnet. Sie ist zweikanalig-redundant 
aufgebaut, urn die erf order liche Fehlersicherheit zum Steuern 
sicherheitskritischer Prozesse zu erreichen. Stellvertretend 
fur den zweikanaligen Aufbau sind in Fig. 1 zwei voneinander 
getrennte Prozessoren 20 , 22 dargestellt, die uber eine bi- 
direktionale Kommunikationsschnittstelle 24 miteinander in Ver- 
bindung stehen, um sich gegenseitig kontrollieren und Daten 
austauschen zu konnen. Bevorzugt sind die beiden Kanale der 
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Sicherheitssteuerung 18 und die beiden Prozessoren 20 , 22 di- 
ver sitar, d.h. verschieden voneinander aufgebaut f urn systemati- 
sche Fehler weitgehend auszuschlieBen . 

Mit der Bezugsziffer 26 ist eine Ein-/Ausgabeeinheit bezeich- 
net, die mit jedem der beiden Prozessoren 20, 22 in Verbindung 
steht. Die Ein-/Ausgabeeinheit nimmt Eingangssignale 2 8 von ex- 
temen Sensoren 30 auf und leitet diese in einem angepaBten Da- 
tenformat an jeden der beiden Prozessoren 20, 22 weiter. Ferner 
erzeugt die Ein-/Ausgabeeinheit in Abhangigkeit von den Prozes- 
soren 20, 22 Ausgangssignale 32, mit denen Aktuatoren 34 ange- 
steuert werden. Bei den Sensoren 30 handelt es sich beispiels- 
weise urn Not-Aus-Taster , Zwei-Hand-Steuerungen, Schutztiiren, 
Drehzahliiberwachungsgerate oder andere Sensoren zur Aufnahme 
sicherheitsrelevanter Parameter. Die Aktuatoren 34 sind bei- 
spielsweise sogenannte Schiitze, mit denen die Stromversorgung 
eines Antriebes oder einer kompletten Maschine abgeschaltet 
werden kann. 

Mit der Bezugsziffer 36 ist eine Chipkarte bezeichnet, auf der 
ein Anwenderprogramm 38 abgespeichert wird. Das Anwender- 
programm 38 wird mit Hilfe der Vorrichtung 10 erstellt, und es 
legt die von der Sicherheitssteuerung 18 durchzuf iihrenden 
Steuerungsauf gaben fest. Die Verwendung einer Chipkarte 36 als 
Speichermedium ermoglicht dabei einen einfachen Austausch des 
Anwenderprograirans 38 auch ohne direkten AnschluJ3 an die Vor- 
richtung 10. Alternativ hierzu kann das Anwenderprogramm 3 8 
auch in einem fest in der Sicherheitssteuerung 18 eingebauten 
Speicher, beispielsweise einem EE PROM, abgespeichert sein. 
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Das Computerprograram 16 stellt auf dem Monitor 14 des PCs 12 
eine nachfolgend naher erlauterte Benutzeroberf lache bereit. 
Die Benutzeroberflache ermoglicht einem Programmierer die Aus- 
wahl und Parametrierung vordef inierter f unktionsspezif ischer 
Programmodule , die ihrerseits fest in der Sicherheitssteuerung 
18 abgespeichert sind. Der Programmierer kann die einzelnen 
Programmodule jedoch nur auswahlen und miteinander kombinieren, 
er kann sie nicht selbst verandern. 

Die Auswahl und Parametrierung der vordef inierten Programmodule 
ist in Fig. 1 durch einen Funktionsblock 40 symbolisiert . Nach- 
dem der Programmierer ein gewiinschtes Programmodul ausgewahlt 
und gegebenenf alls parametriert hat, wird dieses in einem Spei- 
cher 42 des PCs abgespeichert , und zwar im Format der Sicher- 
heitssteuerung 18. "Im Format der Sicherheitssteuerung" bedeu- 
tet dabei, daJ3 ein Programmodul-Funktionsauf ruf generiert und 
abgespeichert wird f der in dieser Form spater auch der Chipkar- 
te 36 zugefiihrt wird. Der abgespeicherte Programmodul- 
Funktionsauf ruf stellt einen Programmbef ehl im Anwenderprogramm 
3 8 dar . 

GemaB dem hier dargestellten Ausf uhrungsbeispiel erzeugt das 
Computerprogramm 16 mit Hilfe des Funktionsblocks 44 aus dem 
abgespeicherten Programmodul-Funktionsauf ruf eine symbolische 
Darstellung des entsprechenden, zugehorigen Programmoduls auf 
der Benutzeroberf lache des PCs 12. Fur den Programmierer bedeu- 
tet dies, daJ3 er in der nachfolgend naher erlauterten Art und 
Weise ein Programmodul auswahlt, und allein aus der Tatsache, 
daJ3 ihm die gewiinschte Auswahl visualisiert wird, folgt, daJ3 
der richtige zugehorige Programmodul-Funktionsauf ruf in dem 
Speicher 42 abgespeichert wurde . 
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Wenn der Programmierer samtliche fiir sein Anwenderprogramm be- 
notigten Prograiranodule ausgewahlt und gegebenenf alls . parame- 
triert hat, liegt das vollstandige Anwenderprogramm in dem 
Speicher 42. Bevorzugt wird es dort zusatzlich mit einer CRC 
(Cyclic Redundancy Check) abgesichert. Von dem Speicher 42 aus 
kann das Anwenderprogramm dann mit dem Funktionsblock 46 in an 
sich bekannter Weise auf die Chipkarte 36 iibertragen werden. 
Durch die Absicherung mit der CRC wird dabei sichergestellt , 
da!3 das auf der Chipkarte 36 abgespeicherte Anwenderprogramm 
exakt mit dem zuvor generierten und im Speicher 42 abgelegten 
Anwenderprogramm iibereinstimmt . 

Die Chipkarte 36 kann bei der Ubertragung in der Sicherheits- 
steuerung 18 eingesteckt sein, was eine entsprechende Kommuni- 
kationsverbindung zwischen dem PC 12 und der Sicherheits- 
steuerung 18 erfordert. Alternativ kann die Chipkarte 36 auch 
uber ein an sich bekanntes Ladegerat (hier nicht dargestellt) 
mit dem Anwenderprogramm 3 8 beschrieben werden. Die Sicher- 
heitssteuerung 18 wird dann durch einf aches Einstecken der be- 
schriebenen Chipkarte 36 mit dem Anwenderprogramm 38 versorgt. 

GemoB einem weiteren bevorzugten Ausf uhrungsbeispiel der Erf in- 
dung arbeiten die beiden Prozessoren 20, 22 das Anwenderpro- 
gramm 38 diversitar ab. Dies kann beispielsweise mit Hilfe an 
sich fiinktionsgleicher , jedoch unterschiedlicher Programmodule 
geschehen, die durch einen einheitlichen Programmodul-Funk- 
tionsaufruf aktiviert werden. Ein Vergleich der jeweiligen Er- 
gebnisse zwischen den beiden Prozessoren 20, 22 ermoglicht dann 
eine f ehlersichere Uberpruf ung des Anwenderprogramms 38 . Auf 
diese W ^±s^ — ist es mSg l ich , — ein Anwenderprogramm 38 f ehlersi- 
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cher gestalten, ohne samtliche denkbaren Kombinationen der zur 
Verfugung stehenden Prograramodule einzeln zu uberpriifen. 

In Fig. 2 ist eine graphische Benutzeroberf lache, die das Com- 
puterprogramm 16 dem Programmierer auf dem Monitor 14 bereit- 
stellt, in ihrer Gesamtheit mit der Bezugsziffer 50 bezeichnet. 

Die Benutzeroberf lache 50 beinhaltet ein Programmierf eld 52, 
das gemaB dem hier dargestellten, bevorzugten Ausfiihrungs- 
beispiel der Erfindung graphisch in drei getrennte Funktions- 
gruppen 54, 56, 58 gegliedert ist. AuBerhalb des Programmier- 
feldes 52 ist eine Menge 60 auswahlbarer Programmodule 62, 64 , 
66, 68, 70, 72 in Form von graphischen Symbolen dargestellt. 
Die Auswahl eines dieser Programmodule erfolgt, indem man das 
entsprechende Symbol mit Hilf e einer Drag & Drop-Funktion in 
die dafxir vorgesehene Funktionsgruppe des Programmierf eldes 52 
bewegt, wie dies anhand eines Pfeils 74 beispielhaft darge- 
stellt ist. Auf diese Weise ausgewahlte Programmodule sind. bei- 
spielhaft mit den Bezugszif f em 76, 78, 80 bezeichnet. 

Die zur Auswahl stehenden Programmodule 62-72 lassen sich grob 
in drei verschiedene Typen einteilen, die den drei definierten 
Funktionsgruppen 54, 56, 58 entsprechen. Die Funktionsgruppe 54 
nimmt Programmodule 62-68 auf, die jeweils eine definierte Si- 
gnalquelle, d.h. einen definierten Sensor 30, eigenstandig feh- 
lersicher auswerten. Die Programmodule 62-68 werden dementspre- 
chend auch als Sensor-Module bezeichnet. Jedes Sensor-Modul 62- 
6 8 ist an einen bestimmten Sensortyp angepaBt, wie beispiels- 
weise an einen Not-Aus-Taster , eine Schutztur oder eine Zwei- 
Hand-Steuerung . Bei dem Sensor-Modul 62 handelt es sich bei- 
spielsweise urn ein Programmodul zur f ehlersicheren Auswertung 
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einer Signalquelle mit zwei redundanten SchlieBerkontakten und 
mit iiberwachtem Start. Sensor-Modul 64 dient beispielsweise zur 
fehlersicheren Auswertung einer Signalquelle mit einem Schlie- 
Ber- und einem Of f nerkontakt sowie mit nicht-iiberwachtem Start. 
Sensor-Modul 66 dient beispielsweise zur Auswertung einer Si- 
gnalquelle mit nur einem Of f nerkontakt . Weitere Sensor-Module 
68 dienen zur Auswertung von Signalquellen mit Halbleiteraus- 
gangen, wie beispielsweise Lichtschranken . Insgesamt beinhaltet 
die Menge 60 Sensor-Module fiir alle in Betracht kommenden Sen- 
soren 30. 

Die Sensor-Module 62-68, die der ersten Funktionsgruppe 54 zu- 
geordnet werden konnen, erhalten als Eingangsparameter die. Ein- 
gangssignale 28 der Sensoren 30. Als tibergabeparameter stellen 
sie erste ZwischengroBen bereit, die in der Fachterminologie 
als Merker bezeichnet werden. In der beispielhaf ten Darstellung 
in Fig. 2 sind als erste ZwischengroBen die Merker Ml r M2 und 
M3 an den Ausgangen von insgesamt drei ausgewahlten Sensor— 
Modulen dargestellt. 

Die Funktionsgruppe 56 dient ausschlieBlich zur Aufnahme von 
Programmodulen , die die ersten ZwischengroBen logisch miteinan- 
der verkniipfen und in Abhangigkeit davon zweite ZwischengroBen 
bereitstellen. In der Darstellung in Fig. 2 werden beispiels- 
weise die beiden Merker Ml und M2 mit einem logischen UND ver- 
kniift. Die Merker M2 und M3 werden mit einem logischen ODER 
verkmipft. An den Ausgangen der entsprechenden Programmodule 
stehen dann die zweiten ZwischengroBen M4 und M5 bereit. 

— Shrea tzlich zu de-n-4rirer^-ge^ei^te n Logik - Modul en--d^ttt--d±e — zweirfce- 
Funktionsgruppe 56 auch zur Aufnahme von anderen Programmodu- 
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len, die die ersten Zwischengr6J3en zu zweiten Zwischengroflen 
weiterverarbeiten, wie beispielsweise Negationen oder Zeitver- 
zogerungen. 

Die dritte Funktionsgruppe 58 dient zur Aufnahme von sogenann- 
ten Aktuator-Modulen , d.h. solchen Programmodulen, die aus den 
zweiten ZwischengroBen Ausgangssignale zur Ansteuerung der Ak- 
tuatoren 34 erzeugen. In Fig. 2 dient das Aktuator-Modul 80 
beispielsweise zur Ansteuerung zweier redundanter Schiitze, mit 
denen die Stromversorgung eines uberwachten Antriebes zweikana- 
lig und damit fehlersicher abgeschaltet werden kann. 

Die Erstellung des Anwenderprogramms 38 fur die Sicherheits- 
steuerung 18 erfolgt durch Auswahl und Verkniipfung der ge- 
wiinschten Programmodule 62-72. Mit dem Auswahlen eines ge- 
wiinschten Programmoduls erzeugt das Computerprogramm 16 einen 
entsprechend zugehorigen Programmodul-Funktionsauf ruf , der in 
einer sogenannten Ablauf tabelle in dem Speicher 42 abgespei- 
chert wird. Fur den in Fig. 2 beispielhaft dargestellten Pro- 
grammiervorgang ergibt sich dabei folgende Ablauf tabelle : 



Zeile 


Modul-Typ 


Ausgang 1 


Ausgang 2 


Eingang 1 


Eingang 2 


Eingang 3 


1 


Sensortyp 1 


Ml 




E 1.1 


E 1.2 


Start 1 


2 


Sensortyp 2 


M2 




E 2.1 


E 2.2 


Start 2 


3 


Sensortyp 3 


M3 




E 3.1 






4 


UND 


M4 




Ml 


M2 




5 


ODER 


M5 




M2 


M3 




6 


Aktuatortyp 1 


A 4.0 


A 4.1 


M4 






7 


Aktuatortyp 2 


A 4.2 




M5 
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In der Spalte "Modul-Typ" erscheint. der jeweilige Programmodul- 
Funktionsauf ruf , und zwar in einer Codierung, die von der Si- 
cherheitssteuerung 18 gelesen werden kann. In den nachf olgenden 
Spalten sind die Ubergabeparameter genannt, die das entspre- 
chend aufgerufene Programmodul erhalt bzw, zuruckgibt. 

Gemai3 einem besonders bevorzug-ten Ausf uhrungsbeispiel der Er- 
findung ordnet das Computerprograiran 16 die einzelnen Programmo- 
dul-Funktionsaufrufe in der Ablauf tabelle in chronologischer 
Reihenfolge, d.h. in der Reihenfolge der drei Funktionsgruppen 
54 , 56/ 58 an. Damit wird die Struktur, die sich aufgrund der 
graphischen Benutzeroberf lache 50 bereits beim Programmieren 
ergibt, in dem letz-tlich erzeugten und verwendeten Anwender- 
programm 38 fortgesetzt . Es ents-teht somit ein klar geglieder- 
tes und strukturiertes Anwenderprogramm 38. 

In bevorzugten Ausf uhrungsbeispielen der Erf indung wird das An- 
wenderprogramm 38 beim Ubertragen vom Speicher 42 auf die Chip- 
karte 36 stets mi*t einer CRC abgesicher-t . Auf diese Weise kann 
eine Verfalschung des Anwenderprogramms beim Ubertragen auf die 
Chipkarte 3 6 zuverlassig erkannt und gegebenenf alls verhindert 
werden . 
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Patentansprtiche 

1. Verfahren zum Programmieren einer Sicherheitssteuerung 
(18), mit den Schritten: 

Festlegen von logischen Verkniipf ungen zwischen Eiri- 
gangssignalen (28) der Sicherheitssteuerung (18) und 

Zuordnen von Verkniipf ungsprodukt en (M4, M5) zu Aus- 
gangssignalen (32) der Sicherheitssteuerung (18) f 

wobei das Festlegen der Verkniipf ungen und das Zuordnen an- 
hand vordef inierter f unktionsspezif ischer Programmodule 
(62-72, 76-80) erfolgt, die aus einer Menge (60) derarti- 
ger Programmodule ausgewahlt werden f dadurch gekennzeich- 
net, daJ3 jedes ausgewahlte Programmodul (76, 78, 80) ein- 
deutig einer definierten Funktionsgruppe (54, 56, 58) zu- 
geordnet wird, wobei eine erste Funktionsgruppe (54) Pro- 
grammodule (76) enthalt, die Eingangssignale (28) der Si- 
cherheitssteuerung (18) aufnehmen und in Abhangigkeit da- 
von erste Zwischengrofien (Ml, M2, M3) bereitstellen, wobei 
eine zweite Funktionsgruppe (56) Programmodule (78) ent- 
halt, die die ersten ZwischengroGen (Ml, M2 , M3) logisch 
miteinander verkniipfen und in Abhangigkeit davon zweite 
Zwischengrofien (M4 , M5) bereitstellen, und wobei eine 
dritte Funktionsgruppe (58) Programmodule (80) enthalt, 
die die zweiten Zwischengroflen (M4, M5) den Ausgangs- 
signalen (32) der Sicherheitssteuerung (18) zuordnen. 

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet , daJ3 je- 
des Programmodul (62-72, 76-80) genau einer von insgesamt 
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drei definierten Funktionsgruppen (54, 56, 58) zugeordnet 
wird. 

3 . Verf ahren nach Anspruch 1 oder 2 , dadurch gekennzeichnet , 
daJ3 jedes Prograitmiodul (76) der ersten Funktionsgruppe 
(54) eine definierte Signalquelle (30) fehlersicher aus- 
wertet . 

4, Verf ahren nach einem der Anspriiche 1 bis 3, dadurch ge- 
kennzeichnet, dai3 beim Auswahlen eines jeden Programmoduls 
(62-72, 76-80) ein Programmodul-Funktionsauf ruf generiert 
und in einer Ablauftabelle abgespeichert wird. 



5. Verf ahren nach Anspruch 4, dadurch gekennzeichnet, dafi die 
Programmodul-Funktionsauf rufe nach den Funktionsgruppen 
(54, 56, 58) getrennt in der Ablauftabelle abgespeichert 
werden • 

6. Verf ahren nach Anspruch 4 oder 5, dadurch gekennzeichnet, 
daJ3 die Programmodul-Funktionsauf ruf e in der Reihenfolge 
der Funktionsgruppen (54, 56, 58) abgespeichert werden. 

7 . Verf ahren nach einem der Anspriiche 1 bis 6 , dadurch ge- 
kennzeichnet, daJ3 die Programmodule (62-72, 76-80) mittels 
graphischer Symbole auf einer graphischen Benutzeroberf la- 
che (50) dargestellt werden. 

8. Verf ahren nach Anspruch 7, dadurch gekennzeichnet, daJ3 die 
Programmodule (62-72, 76-80) mittels einer Drag & Drop- 
Funktion (74) ausgewahlt werden. 
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9. Verfahren nach einem der Anspriiche 1 bis 8, dadurch ge- 
kennzeichnet, daJ3 die Funktionsgruppen (54, 56 , 58) mit- 
tels graphischer Symbole auf einer graphischen Benutzer- 
oberflache (50) dargestellt warden. 

10. Verfahren nach einem der Anspriiche 7 bis 9, dadurch ge- 
kennzeichnet , da!3 die Darstellung eines ausgewahlten Pro- 
grammoduls (76, 78, 80) auf der Benutzeroberf lache (50) 
aus einem abgespeicherten, zugehorigen Prograramodul- 
Funktionsauf ruf generiert wird. 

11. Vorrichtung zum Programmieren einer Sicherheitssteuerung 
(18) f mit ersten Mitteln (12, 14, 16) zum Auswahlen und 
Parametrieren vordef inierter f unktionsspezif ischer Pro- 
grammodule (62-72, 76-80), mit deren Hilfe logische Ver- 
knupf ungen zwischen Eingangssignalen (28) der Sicherheits- 
steuerung (18) festgelegt und Verknupf ungsprodukta (M4, 
MS) zu Ausgangssignalen (32) der Sicherheitssteuerung (18) 
zugeordnet werden konnen, dadurch gekennzeichnet , daJ3 wei- 
tere Mittel (52) vorhanden sind, die ein ausgewahltes Pro- 
grammodul (76, 78, 80) eindeutig einer definierten Funkti- 
onsgruppe (54, 56, 58) zuordnen, wobei eine erste Funkti- 
onsgruppe (54) Programmodule (76) enthalt, die Eingangs- 
signale (28) der Sicherheitssteuerung (18) aufnehmen und 
in Abhangigkeit davon erste ZwischengroBen (Ml, M2, M3) 
bereitstellen, wobei eine zweite Funktionsgruppe (56) Pro- 
grammodule (78) enthalt, die die ersten ZwischengroBen 
(Ml, M2, M3) logisch miteinander verknupf en und in Abhan- 
gigkeit davon zweite ZwischengroBen (M4, M5) bereit- 
stellen, und wobei eine dritte Funktionsgruppe (58) Pro- 
grammodule (80) enthalt, die die zweiten ZwischengroBen 
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(M4, M5) den Ausgangssignalen (32) der Sicherheitssteue- 
rung (18) zuordnen, 

12. Vorrichtung nach Anspruch 11, gekennzeichnet durch einen 
Speicher (42) zum Abspeichern eines Programmodtil-Funk- 
tionsaufrufs in Abhangigkeit von einem ausgewahlten Pro- 
grammodul (76, 78 , 80) sowie eine Anzeigeeinheit (14, 44 }, 
die in Abhangigkeit von dem abgespeicherten Programmodul- 
Funktionsauf ruf eine Darstellung des ausgewahlten Pro- 
grammoduls (76, 78 f 80) generiert. 

13. Computerprogramm mit Programmcodemitteln zum Durchfuhren 
eines Verfahrens nach einem der Anspriiche 1 bis 10, wenn 
das Computerprogramm (16) auf einem Computer (12) ausge- 
fiihrt wird. 

14. Anwenderprogramm fur eine Sicherheitssteuerung (18), mit 
Bef ehlsf olgen, deren Abarbeitung in einer Prozessoreinheit 
(20, 22) der Sicherheitssteuerung (18) eine logische Ver- 
kniipfung von Eingangssignalen (28) sowie eine Zuordnung zu 
Ausgangssignalen (32) der Sicherheitssteuerung (18) be- 
wirkt, dadurch gekennzeichnet, daJ3 die Bef ehlsf olgen zu- 
mindest drei auf einanderf olgende Funktionsgruppen (54, 56, 
58) bilden, wobei eine erste Funktionsgruppe (54) Befehls- 
f olgen beinhaltet, die Eingangssignale (28) der Sicher- 
heitssteuerung (18) aufnehmen und in Abhangigkeit davon 
erste ZwischengroBen (Ml, M2, M3 ) bereitstellen, wobei 
eine zweite Funktionsgruppe (56) Bef ehlsf olgen beinhaltet, 
die die ersten ZwischengroBen (Ml, M2, M3) logisch mitein- 

ander — verknupf en and in Abhangigkeit davon zweite Zwi- 
schengroBen (M4, M5) bereitstellen, und wobei eine dritte 
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Funktionsgruppe (58) Bef ehlsf olgen beinhaltet , die die 
zweiten ZwischengrSBen (H4, M5) den Ausgangssignalen (32) 
der Sicherheitssteuerung (18) zuordnen. 

15, Computerprogrammprodukt mit einem Speichermedium (36)/ auf 
dem ein Computerprograram (16) nach Anspruch 13 Oder ein 
Anwenderprogramm (38) nach Anspruch 14 gespeichert ist. 
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(57) Abstract: The invention relates to a method for programming a safety controller. The determination of the connections and 
the allocation is achieved by pre-defined function-specific program modules (62-72, 76-80), selected from a number (60) of such 
program modules. The invention is characterised in that each selected progra m module (76, 78, 70) is uniquely allocated to a de- 
fined function group (54, 56, 58). A first function group (54) comprises program modules (76) which accept input signals to the 
safety controller and produce first intermediate parameters (Ml, M2, M3), based thereon. A second function group (56) comprises 
program modules (78) which logically connect the first intermediate parameters (Ml, M2, M3) to each other and produce second 
intermediate parameters (M4, M5) based thereon. A third function group (58) comprises program modules (80), which allocate the 
second intermediate parameters (M4, M5) to the output signals of the safety controller. 
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(57) Zusammenfassung: Die vorliegende Erfindung betrifft ein Verfahren zum Programmieren einer Sicherheitssteuerung. Dabei 
erfolgt das Festlegen der Verknupfungen und das Zuordnen anhand vordefinierten funktionsspezifischer Programmodule (62-72, 
76-80), die aus einer Menge (60) derartiger Programmodule ausgewahlt werden. Die Erfindung ist dadurch gekennzeichnet, daB 
jedes ausgewahlte Programmodul (76, 78, 70) eindeutig einer definierten Funktionsgruppe (54, 56, 58) zugeordnet wird, wobei eine 
erste Funktionsgruppe (54) Programmodule (76) enthalt, die EingangssignaJe der Sicherheitssteuerung aufnehmen und in Abhangig- 
keit davon ersten ZwischengroBen (M L, M2, M3) bereitstellen, wobei eine zweite Funktionsgruppe (56) Programmodule (78) enthalt, 
die die ersten ZwischengroBen (Ml, M2, M3) logisch miteinander verknupfen und in Abhangigkeit davon zweite ZwischengroBen 
(M4, M5) bereitstellen, und wobei eine dritte Funktionsgruppe (58) Programmodule (80) enthalt, die die zweiten ZwischengroBen 
(M4, M5) den Ausgangssignalen der Sicherheitssteuerung zuordnen. 
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